⸢ 肆 ⸥ ⤳ 默认安全：安全建设方案 ➭ b.安全资产建设

安全风险 总是依附于资产而存在，风险的实体往往就是各类资产。传统的资产概念多局限于++服务器、域名++ 等运维视角的资产，而在现代安全体系中，资产的范畴进一步扩展，还包括：++用户数据、服务器配置信息、API接口++ 等广义资产。资产信息的全面性和准确性，直接决定了企业识别和治理安全风险的能力 。

因此，安全资产建设成为构建企业安全体系的基石。整体来看，安全资产的建设可分为三个基本步骤：

识别需防护的++资产++：明确资产范围，建立资产清单。
识别资产上的++风险++：基于资产信息，发现潜在威胁与薄弱点。
风险++治理与防护++：实施防护措施，并持续评估整体资产风险水平。

4.2.1 传统资产

首先需明确数据收集的范围，界定哪些资产需纳入防护体系。传统意义上的资产主要包括：

域名、IP地址
虚拟机 、容器
物理服务器
负载均衡器
数据库
代码库

这些是外部攻击者重点关注的部分，用于++寻找公网入口，尝试渗透内网++ 。

企业在发展过程中通常已建立起相应的管理系统，尽管随着技术架构演进，原始数据源可能存在重叠、遗漏或错误，但通过构建中间逻辑层进行清洗与计算，仍可形成初步可用的++资产清单，++并通过持续优化满足基本需求。

1.资产收集的细腻度？

🔍 从"有资产"到"看得清风险"

然而，仅凭++域名、IP++等较粗粒度的资产数据，难以实现真正的"全局视野"，也无法有效识别资产风险。攻击者在获取一批域名或IP后，往往会进一步探测：

域名背后有哪些接口？
IP开放了哪些端口与服务？

企业同样需如此，只有将资产数据进一步细化，才能更准确地发现潜在安全隐患。

⚙️ 资产应细化至" ++++可实战++++"粒度

安全资产的粒度应细化至可**++++直接进入漏洞挖掘阶段++++**的水平。例如：

资产类型	传统粒度	安全建设应达到的粒度	可直接测试的风险示例
IP + 端口	开放端口	运行的服务（如Redis）	未授权访问
Web应用	域名	接口地址+参数+认证方式+功能场景	XSS、文件上传、SSRF等
虚拟机/容器	存在与否	常驻进程+系统软件包（RPM/DEB）+依赖库（Jar/pip包）	已知漏洞组件、配置缺陷

📊 表：资产信息细化对比示意

资产类型应细化的信息维度具体示例可直接测试的安全风险/漏洞示例常见发现方式

IP/端口服务 运行的服务类型及版本某IP的XX端口开放Redis服务未授权访问 Nmap等端口扫描工具

Web应用 /RPC服务 接口地址(URL/API) /api/v1/user/update 越权操作、注入漏洞流量分析、爬虫

请求参数(Params/Body) ?id=1&name=admin SQL注入、参数污染流量分析、爬虫

权限认证体系 Cookie认证、JWT Token、OAuth 2.0 认证绕过、Token篡改流量分析、人工审计

功能场景文件上传、富文本编辑、Groovy脚本执行文件上传漏洞、XSS、代码执行流量特征分析、人工标识

虚拟机/容器 常驻进程 nginx, java, redis-server 未知恶意进程、配置风险 Agent采集、运维通道

开放端口 22, 80, 443, 6379 未授权访问、不必要的服务暴露内部端口扫描

系统软件包 openssl-1.1.1k (RPM) 系统级漏洞（如CVE）包管理器查询（rpm, dpkg）

业务依赖 log4j-1.2.17.jar, requests==2.25.1 应用级组件漏洞（如Log4Shell）依赖分析工具（pip, maven）

资产类型	应细化的信息维度	具体示例	可直接测试的安全风险/漏洞示例	常见发现方式
IP/端口服务	运行的服务类型及版本	某IP的XX端口开放Redis服务	未授权访问	Nmap等端口扫描工具
Web应用 /RPC服务	接口地址(URL/API)	`/api/v1/user/update`	越权操作、注入漏洞	流量分析、爬虫
	请求参数(Params/Body)	`?id=1&name=admin`	SQL注入、参数污染	流量分析、爬虫
	权限认证体系	Cookie认证、JWT Token、OAuth 2.0	认证绕过、Token篡改	流量分析、人工审计
	功能场景	文件上传、富文本编辑、Groovy脚本执行	文件上传漏洞、XSS、代码执行	流量特征分析、人工标识
虚拟机/容器	常驻进程	nginx, java, redis-server	未知恶意进程、配置风险	Agent采集、运维通道
	开放端口	22, 80, 443, 6379	未授权访问、不必要的服务暴露	内部端口扫描
	系统软件包	openssl-1.1.1k (RPM)	系统级漏洞（如CVE）	包管理器查询（rpm, dpkg）
	业务依赖	log4j-1.2.17.jar, requests==2.25.1	应用级组件漏洞（如Log4Shell）	依赖分析工具（pip, maven）

2.如何构建细粒度资产数据？

这类细粒度数据往往++没有现成的原始数据源++ ，需企业自主建设，常见方式包括：

Web应用 ：通过网络流量监测，提取"++域名+接口+参数++"信息，并依据请求/响应特征识别功能场景与潜在风险。
虚拟机/容器 ：通过运维通道下发采集任务，获取++进程、端口、软件包、依赖库++等详细信息。

通过这些方法，企业可逐步构建起一份可供安全工程师直接使用、无需手动二次收集的高精度资产数据库，极大提升安全运营与风险发现的效率。

📌 提示：安全资产的建设不仅是"有哪些资产"，更是"资产上有哪些风险"。通过细化资产信息至可操作粒度，并建立自动化采集与更新机制，才能建立起真正有效的安全防护基础。

4.2.2 数据资产

数字银行在其业务过程中积累了体量庞大 、来源多样 、类别繁多的数据资产，且业务持续发展推动数据规模加速增长。数据资产是数字银行的核心价值载体，因此，系统性盘点数据资产并实现持续集中化管理与监控，是信息安全治理的重要基础。

1. 数据资产➭盘点

（1）数据资产分类盘点

为全面覆盖数据资产，可从多个维度进行分类盘点，以满足不同业务与安全场景的需求：

📊 按数据结构 ：

▪ 结构化数据（如MySQL、Oracle等关系型数据库）

▪ 半结构化数据（如JSON、XML等）

▪ 非结构化数据（如系统日志、图像、视频、合同文档等）
📁 按数据形态 ：

▪ 数据库存储

▪ 文件存储（对象存储、NAS等）

▪ 网页内容

▪ 实时流数据（如Kafka消息流）
🧩按业务归属：

▪ 营销数据

▪ 采购与供应链数据

▪ 财务数据

▪ 生态合作伙伴数据
📍 按数据位置 ：

▪ 公有云/私有云/混合云

▪ 离线移动设备

▪ 员工终端设备
🔒 按敏感程度 ：

▪ 用户个人金融信息

▪ 用户隐私数据

▪ 商业机密数据

（2）数据资产分级分类

为实现数据的安全管理与精准防护，企业需对数据资产实施分级分类 ，并以此为基础制定差异化保护策略，平衡数据价值与安全风险。

📘 数据++敏感级别++定级参考框架：

敏感等级	影响对象	影响程度说明
5级	国家安全、金融稳定	严重损害国家经济利益或金融秩序
4级	企业声誉、公共利益	造成重大经济损失或社会负面影响
3级	用户隐私、企业商业机密	导致用户隐私泄露或核心商业秘密曝光
2级	内部管理、一般业务信息	对内部运营造成一定干扰但不涉及核心机密
1级	公开信息	可公开披露，无安全风险

数据类别的划分可结合实际业务特征设计为多层级的树形结构，常见如：

用户数据：用户行为数据、设备数据、交易数据、生物识别信息等；
业务数据：交易记录、业务报表、风控数据等；
运营数据：系统日志、操作日志、账户信息等。

最终可构建分级分类矩阵，明确每类数据的安全等级与控制要求：

📊 数据分级分类矩阵：

数据类别	5级	4级	3级	1级
用户生物信息	✓
交易记录		✓
业务运营日志			✓
公开市场报告				✓

（3）自动扫描与识别机制

在明确分级标准的基础上，需建立自动化扫描与识别机制，实现数据资产的持续发现与分类。扫描范围应覆盖所有可能的数据存储载体：

🗃️ 数据库系统（关系型、NoSQL、数据仓库等）
📂 文件与对象存储（S3、OSS、NAS等）
📟 日志系统（ELK、Splunk等）
💻 终端设备与移动设备
📎 非员工个人可移动设备

识别引擎 应支持++规则灵活配置++ ，适应数据特征与分类分类标准的动态变化，并通过周期性扫描实现数据资产地图的动态更新，为安全策略制定与资源分配提供依据。

（4）数据链路可视化

单纯识别独立数据资产仍不足够，还需通过数据链路可视化 技术，刻画数据在不同载体（如数据库、API、应用、终端等）之间的++流动路径++，构建完整的数据血缘关系。实现这一目标需依赖两类技术支持：

📥 多源日志采集：通过SQL解析、代码埋点、流量镜像等方式，捕获各节点数据处理行为；
🧹 数据融合与图谱构建 ：对异构日志进行清洗、补全与关联分析，最终形成统一的数据关系图谱。

数据链路可视化不仅支撑安全风险治理（如数据泄露溯源、异常访问分析），也能为业务团队（如数据开发、运维）提供血缘查询与影响分析能力，提升数据协作与运维效率。

2. 数据资产➭风险治理

数据资产风险治理：旨在依据数据安全基线要求 ，在威胁发生前系统性识别和修复数据资产中的潜在风险，以降低安全事件发生概率及影响。该治理体系依赖于前期++数据盘点、分级分类与链路可视化成果++，是实现数据安全闭环管理的关键环节。

（1）数据风险地图

在数据资产分布与链路可视化的基础上，可进一步绘制数据风险地图，实现对安全风险的全局洞察与精准治理。

生命周期风险分析：沿数据流转路径（创建、传输、使用、存储、销毁）识别敏感数据在各环节的安全薄弱点。
地图要素整合：构建涵盖系统节点、流转渠道、风险清单的动态地图，并持续更新修复状态。
分级治理策略：
- 横向治理 ：聚焦同一安全能力在不同节点的一致性保障。
  示例：数据加密能力应在传输、存储各个环节统一实施，确保数据机密性与完整性。
- 纵向治理 ：聚焦单一节点的多重安全控制。
  示例：核心数据平台需同时实施权限管控、用户行为分析、流量监测等安全能力。

治理类型	关注点	典型案例举例	目标
横向治理	同一能力跨节点覆盖	全链路数据加密	安全水位统一
纵向治理	多能力单节点深化	大数据平台的权限管控+行为审计+流量解析	节点防御纵深

（2）数据流动的合规管控

数据链路可视化能力为合规管控提供基础，确保++每次数据流转++ 均合规可审计：

管控方面	控制目标	控制措施举例
授权管控	防止未授权访问	身份验证、最小权限、定期权限复审
操作审计	事后可追溯	全量日志记录、操作关联分析

（3）支持安全威胁感知与响应运营

数据链路为安全运营提供关键上下文，赋能威胁感知与应急响应：

异常行为感知：
- 基于数据流转态势制定安全基线，监测异常数据操作（如未授权访问、大规模遍历下载、异常数据外传等）；
安全事件响应与溯源：
- 发生数据安全事件（如泄露）时，依托链路信息快速定位泄露点、路径与相关主体；
- 支撑针对性处置与漏洞修复，防止同类事件再次发生。

4.2.3 资产数据质量

为确保资产数据质量，可从以下三个维度系统性地进行建设和保障：

维度	目标	关键措施	实施示例
👨‍💻 研发管控	保障数据链路稳定可靠	制定严谨代码审查（Code Review）机制；变更前进行数据差异对比	SQL/脚本变更前需进行数据影响分析，审核通过后方可执行
🛠️ 运维保障	及时发现并处理异常	对上游数据任务配置非空校验、波动率监测等规则；设置异常告警并及时处理	数据表产出任务失败或波动超阈值时，自动触发告警并通知负责人
🔍 交叉验证	弥补上游数据缺陷	通过外部扫描（如子域名枚举、B/C段IP扫描）获取补充数据，与内部资产库进行碰撞验证	通过主动扫描发现未知或遗漏资产，并入资产库避免防护盲区

💡 交叉验证的重要性 ：上游数据并非总是全面和准确。通过模拟攻击者视角（如大规模目标扫描）主动发现未知资产，可提前规避因数据遗漏导致的安全风险，极大降低被恶意利用的概率。

4.2.4 大数据平台类资产

随着技术架构演进，大数据平台（如Hadoop、Spark、GPU计算集群等）已成为关键业务组件，但其安全风险特征与传统资产迥异，需采用新的安全视角与方法。

1. 与传统资产的差异

特征	传统资产（如Web服务、服务器）	大数据平台类资产
风险可见性	端口开放、服务暴露、网络流量可见	风险常隐藏在应用内/应用间数据流转中
防护重点	网络层、主机层防护	数据流处理逻辑、组件依赖、API权限
典型风险	未授权访问、服务漏洞	组件漏洞（如低版本Fastjson）、数据泄露、非授权数据访问

2.安全建议

此类资产通常无开放端口，业务流量难以反映内部风险，真正的攻击面存在于数据流转链路上。
加强代码库、镜像及软件供应链的收集与管理：最终风险实体大概率源于代码缺陷、镜像漏洞或依赖组件问题（如Log4j、Fastjson漏洞）。
示例攻击路径：公网Web应用接收用户数据 → 流处理任务分析数据 → 因低版本Fastjson漏洞导致后台大数据集群被攻陷。由于防护措施常聚焦公网业务，此类内网攻击路径的破坏性往往更严重。

⚠️ 注意：安全风险始终依附于资产而存在。对于新形态资产，需调整风险评估方法，重点关注数据流 、应用交互 和供应链安全。

4.2.5 风险治理、防护与度量

识别资产与风险仅是起点，有效的治理、防护与度量才是安全闭环管理的关键。

1. 治理与防护的挑战

依赖人工统计治理进展与产品覆盖率时，存在工作量大 、统计口径不一致 、易遗漏例外情况（如非标准应用未覆盖RASP）等问题。
可能导致表面覆盖全面，实际存在防护盲区，攻击发生时仍"四处漏风"。

2. 基于资产数据的度量解决方案

为实现有效度量与运营，应为每个安全建设项目提供清晰的资产数据支撑：

明确资产范围与标签字段 ：资产数据中需包含全量应用列表，并标记关键属性（如："是否执行标准研发流程"）。
关联防护产品状态：将防护产品（如RASP）的覆盖状态、策略下发情况作为标签关联至资产数据。
实现全局风险可视：通过数据对接，全局视角可清晰展示：当前存在哪些风险、各防护产品覆盖范围与进度，从而准确判断整体风险水位。

参考资料：《数字银行安全体系构建》

👍点「赞」➛📌收「藏」➛👀关「注」➛💬评「论」

🔥您的支持，是我持续创作的最大动力！🔥